# Agent NAS：为 AI 智能体而生的网络附加存储

> Agent NAS 是围绕“一次运行”设计的网络附加存储：智能体的每次运行都在隔离的分支里工作，凭一张短时、窄域的租约访问数据；每个改动都能追溯、能撤销；记忆是带来源的普通文件。对外，它说智能体早已会说的话：文件、Git、S3 和 MCP。

**智能体在这里工作，你始终掌控。** 一台把“运行”当作基本单位的 NAS：每次运行有自己的分支和租约，每个改动可追溯、可撤销，记忆是你能读、能改、能带走的笔记。

## 一览

- **类别**: 为 AI 智能体而生的网络附加存储，也称智能体原生存储（agent-native storage）。
- **核心理念**: 访问的单位是**运行**，不是账号：运行在分支上工作，凭租约访问，留下记录。
- **四个承诺**: 有界、可恢复、可追责、可检视。
- **核心名词**: Tree、Commit、Principal、Run、Lease 和 Record。
- **概念**: 九个命名概念，分为三簇：工作、权限与知识。
- **接口**: 数据面：挂载、Git、S3、WebDAV；控制面：MCP、HTTP、CLI。
- **规范**: 草案 v0.2，符合性等级从 L0 Files 到 L4 Sync，每一级都有可执行的验收测试。
- **状态**: 概念与规范阶段，尚无参考实现。L0 与 L1 可以用现成零件今天搭出来。
- **许可**: 内容采用 CC BY 4.0。

## 为什么是现在

过去一年里，四件事已经发生。

- **智能体在文件里工作。** [AGENTS.md](https://agents.md)、[Agent Skills](https://agentskills.io/specification)、以 Git 为后端的记忆（[Letta Context Repositories](https://www.letta.com/blog/context-repositories/)），以及把长输出写成文件的[动态上下文发现](https://cursor.com/blog/dynamic-context-discovery)，让文件成了智能体的工作介质。
- **错误来得又快又贵。** 2026 年 4 月，一个编码智能体用在无关文件里翻到的、权限过宽的令牌，[9 秒内删掉了一家公司的生产数据库和同卷备份](https://www.theregister.com/software/2026/04/27/cursor-opus-agent-snuffs-out-startups-production-database/5224442)。
- **人审不了每一步。** Anthropic 披露，用户批准了 [93% 到 97% 的权限提示](https://claude.com/resources/articles/auto-mode-default-in-claude-code)；在它的受控实验里，人只拦住了 13.6% 被植入的危险命令。
- **记忆成了攻击面。** 2026 年的[多项研究](https://arxiv.org/abs/2606.04329)表明，恶意指令一旦写进持久记忆就能跨会话存活，只在输入或检索处设防，效果有限。

存储厂商也动了：[QNAP QuAgent](https://www.qnap.com/en/software/quagent)、[Synology DSM Agent](https://www.synology.com/en-us/beta/2026_DSM_Agent_1_0_Beta/release_note) 和 [TrueNAS MCP](https://truenas.github.io/truenas-research-labs/) 都让智能体来管理这台盒子。可是别的智能体怎样在盒子里的数据上安全地工作，据我们所见还没有一份自托管、开放、可验收的契约。参见 [Agent NAS 与现有做法的比较](https://agentnas.com/zh-cn/compare/)。

## 四个承诺

| 承诺 | 含义 | 由哪些概念兑现 |
| --- | --- | --- |
| 有界 | 一次运行只能碰租约点名的数据，到点即失效；读过不可信内容的会话，不能同时再拥有敏感数据与对外通道。 | [Capability Lease](https://agentnas.com/zh-cn/concepts/capability-lease/)、[Trust Labels](https://agentnas.com/zh-cn/concepts/trust-labels/) |
| 可恢复 | 写入先落在分支；受保护的数据只能经审阅的合并更新；删除是软删除；快照不在任何租约的权限之内。 | [Agent Branch](https://agentnas.com/zh-cn/concepts/agent-branch/)、[Human Gate](https://agentnas.com/zh-cn/concepts/human-gate/) |
| 可追责 | 每个改动都能回答：谁做的、代表谁、凭哪张租约、读过什么。 | [Flight Recorder](https://agentnas.com/zh-cn/concepts/flight-recorder/) |
| 可检视 | 记忆是带来源的普通笔记，索引随时可以丢弃重建；全部数据都可以导出带走。 | [Agent Home](https://agentnas.com/zh-cn/concepts/agent-home/)、[Agent Memory](https://agentnas.com/zh-cn/concepts/agent-memory/)、[Budgeted Reads](https://agentnas.com/zh-cn/concepts/budgeted-reads/)、[Cascade Forget](https://agentnas.com/zh-cn/concepts/cascade-forget/) |

## 九个概念，三个问题

Agent NAS 提出九个命名概念。每个概念都有独立页面：一句可以直接引用的定义、一套机制、一条“从小处开始”的路径、一份接口草图、规范对它提出的要求，以及它坦诚的局限。

### 工作

工作在哪里进行，发生了什么？

- AN-01 [Agent Home (智能体之家)](https://agentnas.com/zh-cn/concepts/agent-home/): 按角色划分、带历史的目录，全是普通文件，可以带走。
- AN-02 [Agent Branch (智能体分支)](https://agentnas.com/zh-cn/concepts/agent-branch/): 每次运行在写时复制的分支里工作，经审阅的合并才进入主线。
- AN-03 [Flight Recorder (飞行记录仪)](https://agentnas.com/zh-cn/concepts/flight-recorder/): 以运行为单位、哈希链接的记录，包括这次运行读过什么。

### 权限

谁可以做什么，凭谁的许可？

- AN-04 [Capability Lease (能力租约)](https://agentnas.com/zh-cn/concepts/capability-lease/): 发给一次运行的、有期限与预算的窄域授权；子租约只能更窄。
- AN-05 [Human Gate (人类闸门)](https://agentnas.com/zh-cn/concepts/human-gate/): 只在不可逆、对外或提权的动作之前出现，展示真实的差异。
- AN-06 [Trust Labels (信任标签)](https://agentnas.com/zh-cn/concepts/trust-labels/): 来源与敏感度两个小标签，加上会话污点，强制执行 Rule of Two。

### 知识

智能体知道什么，怎样读，怎样忘？

- AN-07 [Agent Memory (智能体记忆)](https://agentnas.com/zh-cn/concepts/agent-memory/): 笔记是你能读能改的真相，索引只是可以丢弃的缓存。
- AN-08 [Budgeted Reads (预算化读取)](https://agentnas.com/zh-cn/concepts/budgeted-reads/): 同一个文件可以用轮廓、章节、行范围或全文来读，按预算降级。
- AN-09 [Cascade Forget (级联遗忘)](https://agentnas.com/zh-cn/concepts/cascade-forget/): 沿血缘删除派生物，按保留类处理历史，并如实报告做不到的部分。

## 四层，六个名词

Store 层直接使用成熟的存储。其余各层都可以从它重建，核心只有六个名词：Tree、Commit、Principal、Run、Lease 和 Record。我们不发明存储引擎，创新放在契约上。

- **Interface（接口）**: 把能力投影成智能体、人和工具已经会用的接口。网关无状态，从不决定谁可以做什么。 (挂载（POSIX）, Git, S3, WebDAV/SMB, MCP, HTTP, CLI, A2A（可选）)
- **Trust（信任）**: 唯一的授权点。确定性的策略，决策环节没有模型参与。 (主体与运行, Capability Lease, 策略引擎, Human Gate, Trust Labels, Credential Broker, Flight Recorder)
- **Memory（记忆）**: 把笔记变成可检索的知识。全部可以从下一层重建。 (Agent Memory, Budgeted Reads, Cascade Forget, 索引, 维护作业, 血缘)
- **Store（存储）**: 带历史的树，用现成的文件系统快照、Git 或版本化对象存储。 (Tree, Commit, Agent Branch, 文件系统快照, Git, 对象存储)
- **Sync（同步，可选）**: 节点之间的复制与共享。放在最后：先把单节点做对。 (Git 远端, 快照传输, 租约链接, 交接包)

[阅读架构](https://agentnas.com/zh-cn/architecture/)。

## 一次运行的旅程

1. **申请租约。** 研究智能体 Cleo 的编排器为这次运行申请一张 [Capability Lease（能力租约）](https://agentnas.com/zh-cn/concepts/capability-lease/)：读取 `/shared/launch`、提议修改、有效四小时。所有者预先设定的策略包络自动批准了这次申请。
2. **开工。** NAS 创建这次运行和它的分支 `cleo/run_91ab`；沙箱把分支当作普通目录挂载。Cleo 从自己的 [Agent Home（智能体之家）](https://agentnas.com/zh-cn/concepts/agent-home/)读到 `AGENTS.md` 和已审阅的记忆。
3. **在预算内阅读。** 它用 [Budgeted Reads（预算化读取）](https://agentnas.com/zh-cn/concepts/budgeted-reads/)读一份长报告：先看 400 token 的轮廓，再按需读具体的行范围。每次读取都记进这次运行的读清单。
4. **在分支上工作。** 修改落在 [Agent Branch（智能体分支）](https://agentnas.com/zh-cn/concepts/agent-branch/)上。共享的 `main` 此刻没有任何变化。
5. **遇到闸门。** Cleo 读过一个网页，所以 [Trust Labels（信任标签）](https://agentnas.com/zh-cn/concepts/trust-labels/)让它的会话带上 `external` 污点。向 `main` 提议合并时，策略要求经过 [Human Gate（人类闸门）](https://agentnas.com/zh-cn/concepts/human-gate/)：所有者在手机上看到由 NAS 计算的真实差异和不可信的来源，然后批准。
6. **留下记录。** 合并产生一个带来源的提交。读过什么、写过什么、谁批准了什么，都写进 [Flight Recorder（飞行记录仪）](https://agentnas.com/zh-cn/concepts/flight-recorder/)，以哈希串联。
7. **沉淀记忆。** Cleo 顺手记下几条新事实。因为这次会话读过外部内容，这些 [Agent Memory（智能体记忆）](https://agentnas.com/zh-cn/concepts/agent-memory/)笔记先进入隔离区：可以被召回，但在人审阅之前不会自动加载。
8. **遗忘。** 几周后，一位客户要求被遗忘。[Cascade Forget（级联遗忘）](https://agentnas.com/zh-cn/concepts/cascade-forget/)沿血缘删除相关的摘要与索引，并出具一份写明覆盖不到范围的报告。

## 它说智能体早已会说的语言

起步不需要新的 SDK。只要智能体能读写文件、用 Git 或 S3，或者调用 MCP 工具，就能使用 Agent NAS。下面这段会话只是对计划中命令行的示意。

*示意会话*

```bash
$ nas lease create --role cleo --paths "/shared/launch/**" --actions read,write,propose --ttl 4h
lease lse_7Qk3 · run run_91ab · branch cleo/run_91ab · expires 16:00
$ nas mount --lease lse_7Qk3 ~/work       # plain files, on a branch
$ ./draft-release-notes.sh                # the agent works with ordinary tools
$ nas propose --into main
gate gt_2Mx4 waiting for approval: merge cleo/run_91ab into main (4 files)
$ nas gate approve gt_2Mx4                # the owner, from another terminal or a phone
merged · commit 91ce3a7 · record 18211
```

[查看全部接口](https://agentnas.com/zh-cn/interfaces/)。

## 我们押注什么

一份希望几年后仍然成立的设计，应当说明自己押注了什么，以及押错时会怎样。

- **智能体会继续把文件系统和 Git 当作主要的工作介质。** 如果不是，Agent Home 退化为一种导出格式，其余概念仍然成立。
- **“一次运行”仍是自然的授权与追责单位。** 如果出现长期常驻的自治进程，租约就改为滚动续期加预算。
- **提示词注入在可预见的将来不会在模型层被根除。** 如果被根除了，Trust Labels 就成为纵深防御里便宜的一层。
- **人的注意力仍然稀缺。** 如果全自动足够可靠，Human Gate 由策略预授权取代，审计仍然保留。

全部七个赌注见[设计原则](https://agentnas.com/zh-cn/principles/)。

## 本站同样可以被智能体读取

每个页面都有 Markdown 孪生版本，本站发布 `llms.txt`，并运行一个小型的只读 MCP 服务器。在终端里试试：

*终端*

```bash
curl -H "Accept: text/markdown" https://agentnas.com/what-is-agent-nas/
curl https://agentnas.com/llms.txt
curl -X POST https://agentnas.com/api/search \
  -H "content-type: application/json" \
  -d '{"query": "capability lease", "limit": 5}'
```

把文档服务器加入 MCP 客户端：

*mcp.json*

```json
{
  "mcpServers": {
    "agentnas-docs": { "url": "https://agentnas.com/mcp" }
  }
}
```

## 人们最先会问的问题

### 用一句话说，Agent NAS 是什么？

围绕“一次运行”设计的网络附加存储：智能体的每次运行都在隔离的分支里工作，凭一张短时、窄域的租约访问数据；每个改动都能追溯、能撤销；记忆是带来源的普通文件。

### 有可以下载的软件吗？

还没有。Agent NAS 目前是一个概念和一份规范草案（v0.2）。L0 与 L1 可以用 Git、文件系统快照和一个小网关今天搭出来；参考实现 v0 的目标是 2027 年上半年，见[路线图](https://agentnas.com/zh-cn/roadmap/)。

### 它和 NAS 厂商推出的 AI 智能体有什么不同？

那些智能体用来管理这台盒子。Agent NAS 规定的是别的智能体怎样在盒子里的数据上工作：分支、租约、记忆与遗忘。两者互补，厂商的盒子可以成为 Overlay 形态的底座。

### 它会取代我现有的存储吗？

不会。Overlay 部署形态架在现有的 NAS、对象存储或 Git 托管之前，只管理其中的一个目录或桶。

### 它能防住提示词注入吗？

不能。它限制注入之后的后果，并让后果可见、可撤销。坦诚的局限见[安全](https://agentnas.com/zh-cn/security/)。

### 我可以随时离开吗？

随时可以。所有内容都能导出为普通文件和 Git 历史。这是设计上的保证，而不是可选功能。

[全部问答](https://agentnas.com/zh-cn/faq/)。

## 目前进展

> **状态.** Agent NAS 处于概念与规范草案阶段（v0.2，2026 年 11 月）。v0.2 是一次落地修订：十三个概念收敛为九个，每个概念都写明了“从小处开始”和“坦诚的局限”。目前还没有参考实现。

- [规范草案](https://agentnas.com/zh-cn/spec/): 符合性等级与可执行的验收测试。
- [路线图](https://agentnas.com/zh-cn/roadmap/): 现在、下一步、以后，以及不做什么。
- [关于本项目](https://agentnas.com/zh-cn/about/): 许可、如何引用，以及如何参与。

---

规范网址: https://agentnas.com/zh-cn/
更新于: 2026-11-11 · 规范草案 v0.2 · CC BY 4.0